CN101340280B - 一种流密码生成器 - Google Patents

Abstract

本发明公开了一种流密码生成器，在现有框架下，线性变换模块F的第一模块用于状态读取列表模块A、B、C读入的数以及线性变换模块F输出数的压缩变换，输出适于第二模块输入的数；第二模块包括非可逆线性变换模块和两个并联的S盒子，从第一模块输入的数在非可逆线性变换模块中变换后输出；从第一模块输入的数的选定位作为两个S盒子的输入，在S盒子中进行查表变换，其输出与非可逆线性变换模块输出合并为线性变换模块F的输出；S盒子是随机产生S盒子池，然后通过进化算法进行密码特性分析对产生的S盒子池进行优化选择得到，本发明的S盒子密码特性大大提高，得到所要的高安全强度的S盒子，从而提高本发明流密码生成器的安全强度。

Description

一种流密码生成器

技术领域

本发明涉及信息安全传输领域，具体来讲，涉及用于安全身份认证中认证信息交换使用的流密码生成器。

背景技术

在数字信息时代，信息安全一直是人们关注的焦点。在各种信息传送系统中，为了保证参与信息交换的实体是合法的、有效的，需要对参与实体的身份进行安全认证。例如在军事通信中需要对对方的身份进行认证，以防止军事情报信息的泄露；在电子商务等互联网环境中，需要对对方的身份进行鉴别，防止非法分子的恶意攻击和破坏；在智能卡等应用环境中，需要对接入设备的合法有效性进行认证。同时，对在合法设备之间的数据传输也必须进行加密保护，防止被第三方窃听、盗取。例如在数字电视领域，在合法的视频源设备与显示设备的接口间必须进行加密保护，防止影音内容被非法窃取、肆意盗版。

在安全系统中，在通信双方传输重要的加密数据之前，要对设备进行身份认证以保证通信双方的身份都是真实的、合法有效的，并建立双方共享的传输密钥。如果认证失败，则认为对方是无效的，不进行数据传输或者是对方不能对传输的加密数据进行正确的解密，以让受保护的数据信息不受非法侵害。但是对通信的双方而言，其颁发的数字证书或识别ID都是固定的，在认证过程中交换数据也需遵循固定的格式和流程，这就为不法分子进行重复攻击留下了机会。如果，不法分子多次窃听通信双方在认证过程中传输的数据，就可以分析出通信双方的信息，并伪装成合法设备，窃取秘密信息。

目前，为了增加安全认证系统的安全性，通信双方都会在认证过程中加入伪随机数，以降低认证过程中的数据重现率，增加不法分子攻击的难度。但是随着计算机技术的进步，普通的伪随机数产生方法已经不能满足信息安全的要求，不法分子可以利用重放、假冒、统计等方法进行攻击，其随机性不足以抵抗攻击。一旦伪随机数的产生方式被破解，系统将面临被彻底破解的威胁。因此，需要一种安全性更好、更强大的伪随机数产生方式。

流密码的情况与伪随机数的情况相同。现在，为了实现对高速数据流进行实时加解密，传统的分组加密已经变得不合时宜，流密码开始被广泛应用。例如国外的HDCP(宽带数字内容保护)系统。HDCP用于保护HDMI和DVI接口传输的数字内容，其中使用的加密技术也是流密码技术。HDCP的流密码保护机制包含三个线性反馈移位寄存器，输入密钥长度为56比特，对于目前高速的计算机搜索速度来说，这一长度的密钥并不足以抵抗密钥搜索攻击。

国内的姜正涛，王育民，葛建华等人发明了一种新的流密码生成器，见2006年9月20日公开的，公开号为CN1835586A，名称为“流密码生成器、随机数生成方法、加密系统及加密方法”的中国发明专利申请公布说明书。该专利申请提供了一种具有较长密钥且更新速度较快的流密码生成器，如图1所示，该流密码生成器包括LFSRα、LFSRβ、LFSRγ三个线性反馈移位寄存器和三个线性变换模块T1、K、L，其所述三个线性变换模块T1、K、L分别对三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ的数进行置乱；三个状态读取列表模块A、B和C分别读取三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ中预定位的数据；线性变换模块F，其输入从三个状态读取列表模块输出的数据反馈压缩并置乱后输出；查表变换模块D，对从状态读取列表模块B读取列表模块输出的数据查表压缩后输出；输出模块G，将从F、D和C输出的数据压缩后输出数据。此外，还包括一输入模块，用于经预定时钟脉冲向所述的三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ分别输入密钥以及向所述的三个线性变换模块T1、K、L分别输入向量。

但是，通过对上述CN1835586A专利申请提出的技术方案的仿真研究，并对其描述的密码算法输出的密钥流，进行随机性统计检验和分析，结果并不令人满意。检验和分析方法，分别采用了军标随机性检验和NIST随机性检验。由其描述的流密码算法程序产生足够长度的密码流，以20K字节为一组进行多组检验，一共随机截取了275组。军标检验量：275×20×1024×8＝45056000比特。随机抽取其中的50组进行了NIST检验：50×20×1024×8＝8192000比特。军标随机性检验：目前认为失败率在5％以下认为是可以接受的。军标随机性检验结果：5种检验标准只有F—检验、S—检验通过，其余的P—检验、R—检验、A—检验全部失败！NIST随机性检验结果：针对50组比特流的16项检验中，随机游程检验(Random Excursions Test)失败22组，其余的检验在合理失败百分比之内认为可以通过！

总体来说，上述CN1835586A专利申请提出的流密码生成器输出的密钥流随机性不够，尤其是针对军标检验，密钥流的测试结果极不理想。

发明内容

本发明的目的在于克服现有技术的不足，提供一种密钥流随机性更强、安全强度更高的流密码生成器。

为了达到上述发明目的，本发明的流密码生成器，包括：一个输入模块、三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ和三个线性变换模块T、K、L；其中，输入模块用于经预定时钟脉冲向所述的三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ分别输入密钥以及向所述的三个线性变换模块T、K、L分别输入向量；线性变换模块T在输入过程及封闭循环运行过程用输入的向量和从下述的输出模块G反馈的数对线性反馈移位寄存器LFSRα中的密钥进行置乱，线性变换模块K在输入过程用输入的向量对线性反馈移位寄存器LFSRβ中的密钥进行置乱，线性变换模块L在输入过程用输入的向量对线性反馈移位寄存器LFSRγ中的密钥进行置乱；三个状态读取列表模块A、B和C，用于分别从线性反馈移位寄存器LFSRα、LFSRβ和LFSRγ的预定位读取并排列成预定位的数输出；一个线性变换模块F，用于对从状态读取列表模块A、B和C输出的数进行压缩及反馈置乱后输出；一个查表压缩变换模块D，用于将从状态读取列表模块B输出的数查表压缩后输出；一个输出模块G，用于将从线性变换模块F、查表压缩变换模块D和状态读取列表模块C输入的数压缩成预定位的数输出，其中该输出在输入过程和封闭循环运行过程反馈到线性变换模块T；其特征在于，所述的线性变换模块F，包括第一模块和第二模块，其中：

第一模块用于状态读取列表模块A、B、C读入的数以及线性变换模块F输出数的压缩变换，输出适于第二模块输入的数；

第二模块包括非可逆线性变换模块和两个并联的S盒子，从第一模块输入的数在非可逆线性变换模块中变换后输出；从第一模块输入的数的选定位作为两个S盒子的输入，在S盒子中进行查表变换，其输出与非可逆线性变换模块输出合并为线性变换模块F的输出；

所述的S盒子是随机产生S盒子池，然后通过进化算法对产生的S盒子池进行优化选择，对选择后的S盒子进行密码特性分析；如果分析显示产生的S盒子密码特性良好，那么就将新产生的S盒子代替S盒子进化池中的任何一个，否则重新对S盒子进行选取；重复若干次，进化结束后，S盒子池中的S盒子密码特性大大提高，得到所要的高安全强度的S盒子。

作为本发明的进一步改进，本发明流密码生成器中的线性反馈移位寄存器LFSRβ的特征多项式为：

f(x)＝x³⁵+x³⁴+x³¹+x²⁴+x²²+x²¹+x²⁰+x¹⁹+x¹⁶+x¹⁵+x¹³+x¹²+x¹¹+x⁸+x⁵+x⁴+x³+x²+1；

线性反馈移位寄存器LFSRγ的特征多项式为：

f(x)＝x³¹+x³⁰+x²⁷+x²⁶+x²⁴+x²¹+x¹⁵+x¹²+x¹¹+x¹⁰+x⁹+x⁸+x⁷+x²+1。

上述线性反馈移位寄存器LFSRβ、LFSRγ的特征多项式为本原多项式，经测试比较，线性反馈移位寄存器LFSRβ和LFSRγ具有更大的周期、更大的线性复杂度和更好的统计特性，有更强的数据混淆能力和安全性。

本发明的发明目的是这样实现的，通过对现有的流密码生成器进一步分析发现：虽然CN1835586A专利申请提出了一种较好的伪随机数、流密码产生的架构，但其缺少安全的S盒子，不能作为一种直接的伪随机数、流密码产生器。同时，其提供的线性反馈移位寄存器的特征多项式不是本原多项式，而且还是可约的，其周期性、安全性都不符合信息安全的需要，因此，其通不过军标随机性检验和NIST随机性检验。

鉴于此，本发明在CN1835586A提出的流密码生成器的基础上，保留其原有结构，设计了安全的S盒子增强了其混淆网络的混淆能力，这样本发明的流密码生成器生成的密钥流随机性更强、安全强度更高。

同时，作为进一步的改进，线性移位反馈寄存器LFSRβ、LFSRγ采用上述特征多项式，具有更大的周期序列，并且其产生的输出序列具有更好的统计特性，配合本发明的安全S盒子，可以大大提高密码流的安全性。改进之后的流密码生成器生成的密钥流顺利通过军标随机性检验和NIST随机性检验，具有很好的随机性。

附图说明

图1是本发明流密码生成器一种具体实施方式原理框图；

图2是图1所示线性反馈移位寄存器LFSRβ的结构图；

图3是图1所示线性反馈移位寄存器LFSRγ的结构图；

图4是图1所示线性变换模块F的一种具体实施方式原理框图；

图5是图4所示的S盒子S1、S2的结构示意图。

具体实施方式

为更好地理解本发明，下面结合具体实施方式对本发明进行更为详细描述。需要提醒注意的是，尽管相似部件出现在不同附图中，但它们被赋予相似的附图标记。在以下的描述中，当采用的已知功能和设计的详细描述也许会淡化本发明的主题内容时，这些描述在这儿将被忽略。

图1是本发明流密码生成器一种具体实施方式原理框图。图中，流密码生成器包括三个线性反馈移位寄存器LFSRα、LFSRβ和LFSRγ，三个线性变换模块T、K和L，其中线性变换模块T对线性反馈移位寄存器LFSRα的密钥进行反馈置乱，线性变换模块K对线性反馈移位寄存器LFSRβ的密钥进行置乱，线性变换模块L对线性反馈移位寄存器LFSRγ的数据进行置乱。三个状态读取列表模块A、B和C，其中状态读取列表模块A读取线性反馈移位寄存器LFSRα中预定位的数据，状态读取列表模块B读取线性反馈移位寄存器LFSRβ中预定位的数据，状态读取列表模块C读取线性反馈移位寄存器LFSRγ中预定位的数据。线性变换模块F，其中线性变换模块F输入从状态读取列表模块A、B和C输出的数据，进行反馈压缩及置乱后输出24位的数据。查表压缩变换模块D，对从状态读取列表模块B输出的数据，经查表压缩后输出16位的数据。输出模块G，对从上述的线性变换模块F、查表压缩变换模块D和状态读取列表模块C输出的数据压缩后每个时钟触发输出32位的数据流。

上述的流密码生成器的一个基本的工作过程包括：(1)输入过程：输入模块从密钥生成模块(未画出)读入密钥R_k和向量R_IV或从存储/截取模块读入密钥和向量，存储/截取模块的密钥和向量是从输出模块G截取输出K_i作为密钥和向量。其中128比特密钥用一个脉冲触发分别输入到三个线性反馈移位寄存器LFSRα、LFSRβ和LFSRγ，以及128比特的向量是通过6个时钟脉冲分别输入三个线性变换模块T、K和L，此时输出模块G对外无输出，其24比特的输出数据反馈到线性变换模块T中；所述的状态读取列表模块A、B、C、查表压缩变换模块D、线性变换模块F模块按预定的方式工作；(2)封闭循环运行过程：此时输入模块无数据输入，输出模块G对外也无输数据出，输出模块G的24比特输出的数据反馈到线性变换模块T中；而所述的状态读取列表模块A、B、C、查表压缩变换模块D、线性变换模块F等模块在预定方式下工作。(3)输出过程：此时输入模块无数据输入，所述的状态读取列表模块A、B、C、查表压缩变换模块D、线性变换模块F等模块在预定方式下工作，输出模块G对外输出24比特的数据流。

整个流密码生成器在控制单元控制总线的控制下运行。

图2是图1所示线性反馈移位寄存器LFSRβ的结构图。图中，线性反馈移位寄存器LFSRβ以比特为单位构成，LFSRβ共有35位，其的特征多项式为：

f(x)＝x³⁵+x³⁴+x³¹+x²⁴+x²²+x²¹+x²⁰+x¹⁹+x¹⁶+x¹⁵+x¹³+x¹²+x¹¹+x⁸+x⁵+x⁴+x³+x²+1；

图3是图1所示线性反馈移位寄存器LFSRγ的结构图。图中，线性反馈移位寄存器LFSRγ以比特为单位构成，LFSRγ共有31位，其的特征多项式为：

f(x)＝x³¹+x³⁰+x²⁷+x²⁶+x²⁴+x²¹+x¹⁵+x¹²+x¹¹+x¹⁰+x⁹+x⁸+x⁷+x²+1。

上述线性反馈移位寄存器LFSRβ、LFSRγ特征多项式为本原多项式，经测试比较，线性反馈移位寄存器LFSRβ、LFSRγ具有更大的周期、更大的线性复杂度和更好的统计特性，有更强的数据混淆能力和安全性。

图4是图1所示线性变换模块F的一种具体实施方式原理框图。图中，线性变换模块F，包括第一模块FA和第二模块FB，其中：

第一模块FA用于状态读取列表模块A、B和C读入的数以及线性变换模块F输出数的压缩变换，输出适于第二模块FB输入的数。在本实施例中，从状态读取列表模块A、B、C读入的数分别为32比特、24比特和16比特，线性变换模块F输出数为24比特，这些数在第一模块FA中压缩变为适于第二模块FB的24比特输入，压缩规则如下：

i＝0，1，...，7时， ${\mathrm{fa}}_i=a_i\⊕b_i\⊕a_{i+24}\⊕f_{i+16},$ 记为FA0

i＝8，9，...，15时， ${\mathrm{fa}}_i=a_i\⊕b_i\⊕c_{i-8}\⊕f_i,$ 记为FA1

i＝16，17，...，23时， ${\mathrm{fa}}_i=a_i\⊕b_i\⊕c_{i-8}\⊕f_{i-16},$ 记为FA2

其中，a₁、b₁、c₁状态读取列表模块A、B、C输出的比特位，f₁为线性变换模块F输出数的比特位。

第二模块FB包括非可逆线性变换模块M和两个并联的S盒子S1、S2，主要功能是对FA得到的24比特输出进一步置乱、混淆，提高流密码生成器的非线性复杂度。

从第一模块FA输入的数FA2FA1FA0在非可逆线性变换模块M中变换后输出。在本实施例中，非可逆线性变换模块M中包含两个变换矩阵：M0和M1。从第一模块FA输入的数FA2FA1FA0到非可逆线性变换模块M的24比特数分成两个12比特，分别记为m0和m1，其中m0＝fa0 fa15 fa7 fa2 fa22 fa19 fa13 fa5fa17 fa23 fa11 fa9；m1＝fa20 fa3 fa14 fa21 fa4 fa18 fa6 fa1 fa16 fa8 fa12 fa10。经过非可逆线性变换模块M后得到输出FB0＝m0×M0和FB1＝m1×M1。

从第一模块FA输入的数的选定位，在本实施例中，为FA2作为两个S盒子S1、S2的输入，在S盒子中进行查表变换，其输出FB2。S盒子S1、S2分别是两个4进4出的盒子，具体如图5所示。

S盒子输出FB2与非可逆线性变换模块输出FB0、FB1合并为线性变换模块F的输出F2F1F0。在本实施例中，F2＝FB1、F1＝FB0、F0＝FB2。

所述的S盒子是随机产生S盒子池，然后通过进化算法对产生的S盒子池进行优化选择，对选择后的S盒子进行密码特性分析；如果分析显示产生的S盒子密码特性良好，那么就将新产生的S盒子代替S盒子进化池中的任何一个，否则重新对S盒子进行选取；重复若干次，进化结束后，S盒子池中的S盒子密码特性大大提高，得到所要的高安全强度的S盒子。

以下是本实施例流密码生成的具体情况：

1、输入密钥：128’h1a0211213d4e00581a0211304c4f005e

输入向量：128’ha12150011f0c10c0b12b51b11f0c10e0

2、输入过程：

1个时钟将密钥分别输入到线性反馈移位寄存器，

线性反馈移位寄存器LFSRα：0x1a0211304c4f005e，

线性反馈移位寄存器LFSRβ：0x13d4e0058，

线性反馈移位寄存器LFSRγ：0x0d010890。

分6个时钟将向量Iva、Ivb、Ivc分别输入到线性变换模块T、K、L模块，

Iva：0x0c、0x51、0xc0、0x1f、0x21；

Ivb：0x10、0xb1、0xb1、0x0c、0x50；

Ivc：0xe0、0x1f、0x2b、0x10、0x01、0xa1。

3、线性反馈移位寄存器输出结果

线性反馈移位寄存器LFSRα：

0x1a0211304c4f005e，0xa51a0211304c4f00，0xcba51a0211304c4f，0x05cba51a0211304c，0x7c05cba51a021130，

0xa57c05cba51a0211......0xdd6bd61188105578，0x12dd6bd611881055......

线性反馈移位寄存器LFSRβ：

0x13d4e0058，0x41ea7002c，0x787538016，0x24ba9c00b，0x545d4e005，0x022ea7002......0x68d7452bd，0x346ba295e......

线性反馈移位寄存器LFSRγ：

0x0d010890，0x36808448，0x54c04224，0x3fe02112，0x57f01089，0x6b780844，......0x5d9fd067，0x2ecfe833......

4、线性变换模块F变换输出结果

0x000050、0x00fa3a、0xd8fae9、0xb5503c、0x214a0b、0x89f0fb、......0x7f86ea、0xa4d482、......

5、查表压缩变换模块D变换输出结果

0xbd74、0x5b13、0x4c0a、0x71da、0x0987、0xf3af、......、0xf4fe、0xe64e、......

6、输出变换G输出结果，最终密钥流，即流密码

0xb63a233b

0xde201cc1

0xec3a8f81

0x980e046d

0xc2278ad3

0x1dc04a8c

0xe450e13a

0x6b0a3d06

0xcac1d826

0xc8e9a6a7

0xa961e87f

0xe36b45fc

0xe69a5a95

0x0ad177c2

0xabeccbb2

0xdbef6d18

0xb50bd56d

0xe6b4c09c

0xca4f8ff1

0x104dd1d3

0x7d3aa3bd

0xe417f121

7、按一定的规则截取流密码序列中的部分流密码，作为下一次流密码更新的初始向量128位的Key_new

Key_new＝128’bca4f8ff1104dd1d37d3aa3bde417f121

此实施例输出的密钥流顺利通过军标测试和NIST随机性检验，其密钥流随机性良好。

尽管上面对本发明说明性的具体实施方式进行了描述，但应当清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims (4)

1.一种流密码生成器，包括：一个输入模块、三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ和三个线性变换模块T、K、L；其中，输入模块用于经预定时钟脉冲向所述的三个线性反馈移位寄存器LFSRα、LFSRβ、LFSRγ分别输入密钥以及向所述的三个线性变换模块T、K、L分别输入向量；线性变换模块T在输入过程及封闭循环运行过程用输入的向量和从下述的输出模块G反馈的数对线性反馈移位寄存器LFSRα中的密钥进行置乱，线性变换模块K在输入过程用输入的向量对线性反馈移位寄存器LFSRβ中的密钥进行置乱，线性变换模块L在输入过程用输入的向量对线性反馈移位寄存器LFSRγ中的密钥进行置乱；三个状态读取列表模块A、B和C，用于分别从线性反馈移位寄存器LFSRα、LFSRβ和LFSRγ的预定位读取并排列成预定位的数输出；一个线性变换模块F，用于对从状态读取列表模块A、B和C输出的数进行压缩及反馈置乱后输出；一个查表压缩变换模块D，用于将从状态读取列表模块B输出的数查表压缩后输出；一个输出模块G，用于将从线性变换模块F、查表压缩变换模块D和状态读取列表模块C输入的数压缩成预定位的数输出，其中该输出在输入过程和封闭循环运行过程反馈到线性变换模块T；其特征在于，所述的线性变换模块F，包括第一模块和第二模块，其中：

第一模块用于状态读取列表模块A、B、C读入的数以及线性变换模块F输出数的压缩变换，输出适于第二模块输入的数；

第二模块包括非可逆线性变换模块和两个并联的S盒子，从第一模块输入的数在非可逆线性变换模块中变换后输出；从第一模块输入的数的选定位作为两个S盒子的输入，在S盒子中进行查表变换，其输出与非可逆线性变换模块输出合并为线性变换模块F的输出；

所述的S盒子是随机产生S盒子池，然后通过进化算法对产生的S盒子池进行优化选择，对选择后的S盒子进行密码特性分析；如果分析显示产生的S盒子密码特性良好，那么就将新产生的S盒子代替S盒子进化池中的任何一个，否则重新对S盒子进行选取；重复若干次，进化结束后，S盒子池中的S盒子密码特性大大提高，得到所要的高安全强度的S盒子。

2.根据权利要求1所述的流密码生成器，其特征在于，所述的流密码生成器中的线性反馈移位寄存器LFSRβ的特征多项式为：

f(x)＝x³⁵+x³⁴+x³¹+x²⁴+x²²+x²¹+x²⁰+x¹⁹+x¹⁶+x¹⁵+x¹³+x¹²+x¹¹+x⁸+x⁵+x⁴+x³+x²+1；

线性反馈移位寄存器LFSRγ的特征多项式为：

f(x)＝x³¹+x³⁰+x²⁷+x²⁶+x²⁴+x²¹+x¹⁵+x¹²+x¹¹+x¹⁰+x⁹+x⁸+x⁷+x²+1。

3.根据权利要求1所述的流密码生成器，其特征在于，所述的第一模块用于状态读取列表模块A、B、C读入的数以及线性变换模块F输出数的压缩变换，其压缩规则为：

i＝0，1，. ..，7时， 

记为FA0

i＝8，9，. ..，15时, 

为FA1

i＝16，17，. ..，23时， 

记为FA2

其中，a_i、b_i、c_i为状态读取列表模块A、B、C输出的比特位，f_i为线性变换模块F输出数的比特位。

4.根据权利要求1所述的流密码生成器，其特征在于，所述的从第一模块输入的数在非可逆线性变换模块中变换后输出，其变换为：

非可逆线性变换模块中包含两个变换矩阵：M0和M1；从第一模块输入的数到非可逆线性变换模块的24比特数分成两个12比特，分别记为m0和m1，其中m0＝fa0fa15fa7fa2fa22fa19fa13fa5fa17fa23fa11fa9；m1＝fa20fa3fa14fa21fa4fa18fa6fa1fa16fa8fa12fa10；经过非可逆线性变换模块后得到输出FB1FB0，其中FB0＝m0×M0和FB1＝m1×M1。

Images